Veri işleme sözleşmesi

Son güncelleme: 18 Ekim 2026

1. Taraflar ve roller

Bu sözleşme, hizmet sözleşmesinin eki ve ayrılmaz parçasıdır. Abone sağlık kuruluşu, uygulamaya girdiği kişisel veriler bakımından veri sorumlusu; TANITEK EĞİTİM VE ROBOT TEKNOLOJİLERİ YAZILIM ELEKTRONİK TİCARET LİMİTED ŞİRKETİ ("Klinikra") ise bu verileri yalnız Abone adına ve yazılı talimatıyla (uygulamanın kullanımı ve ayarları talimat sayılır) işleyen veri işleyendir (KVKK md. 3/1-ğ, md. 12/2).

2. İşlemenin konusu

Sağlık verileri KVKK md. 6 uyarınca özel nitelikli kişisel veridir. 7499 sayılı Kanunla değiştirilen md. 6/3 kapsamında; kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetleri ve finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altındaki kişiler ya da yetkili kurum ve kuruluşlarca açık rıza aranmaksızın işlenebilir; diğer amaçlarda (ör. pazarlama, yurt dışı aktarımın bazı halleri, fotoğrafın tanıtımda kullanılması) açık rıza ya da md. 6/3'teki diğer şartlar gerekir. Hangi şarta dayanılacağını belirlemek ve gerekiyorsa açık rızayı almak Abonenin sorumluluğundadır; uygulama bunun için rıza defteri sunar.

3. Teknik ve idari tedbirler

Klinikra, KVKK md. 12 ve Kurul'un Özel Nitelikli Kişisel Verilerin İşlenmesinde Alınması Gereken Yeterli Önlemler kararı (31.01.2018, 2018/10) gözetilerek şu tedbirleri uygular:

• Şifreleme: tüm bağlantılar HTTPS; TC kimlik numaraları veritabanında AES-GCM ile şifreli, aramada kuruluşa özgü tuzla HMAC özeti; ekranda yetkisiz kullanıcıya yalnız son dört hane.
• Erişim kaydı: hasta kartı, klinik not, hasta dosyası açma, TCKN görüntüleme, dışa aktarma ve yazdırma işlemleri kim, ne zaman, hangi hasta olarak değiştirilemez biçimde kaydedilir; kuruluş "Kim baktı" listesini görür.
• Değiştirilemez rıza defteri: her rıza verme ve geri alma ayrı satırdır; metin sürümü ve özetiyle saklanır, veritabanı düzeyinde değiştirilemez ve silinemez.
• Yetki: rol ve izin bazlı erişim, şube kapsamı, klinik notlara yalnız yetkili hekimlerin erişimi, kilitlenen notların değiştirilememesi, iki adımlı doğrulama, değiştirilemez denetim kaydı.
• Ayrım ve yedek: kuruluş verilerinin mantıksal ayrımı, düzenli ve şifreli yedek, yedekten geri dönüş denemesi.
• Personel: Klinikra çalışanları gizlilik yükümlülüğüyle bağlıdır ve KVKK konusunda eğitilir.

4. Klinikra'nın diğer yükümlülükleri

• Verileri yalnız hizmetin sunulması amacıyla işlemek; kendi amaçları için kullanmamak, satmamak, reklam, profilleme ya da yapay zekâ modeli eğitimi için kullanmamak.
• Klinikra platform yönetimi Abonenin verilerine erişemez. Yönetim paneli yalnız abonelik, ödeme ve kullanım sayılarını (aktif hekim, kullanıcı, depolama, yapay zekâ kotası) gösterir. Destek için veriye erişim gerekirse yalnız Abonenin açık onayıyla, sınırlı süreyle ve kayıt altında yapılır.
• İlgili kişi başvurularında Aboneye yardımcı olmak; Klinikra'ya doğrudan ulaşan hasta başvurularını gecikmeksizin Aboneye iletmek.

5. Veri ihlali

Klinikra, Abonenin verilerini etkileyen bir ihlali öğrendiğinde Aboneye gecikmeksizin ve en geç [24] saat içinde bildirir; ihlalin niteliği, etkilenen kayıt ve kişi grupları, olası sonuçları ve alınan önlemler hakkında bilgi verir. Kurul'un 24.01.2019 tarihli ve 2019/10 sayılı kararı uyarınca veri sorumlusu ihlali öğrendiği andan itibaren en geç 72 saat içinde Kurul'a, makul en kısa sürede ilgili kişilere bildirmekle yükümlüdür; Klinikra bu bildirim için gereken bilgileri sağlar.

6. Verilerin yeri

Veritabanı, yüklenen dosyalar ve yedekler Türkiye'deki sunucularda tutulur. Klinikra bu yeri Aboneye önceden bildirmeden Türkiye dışına taşımaz.

7. Alt işleyenler

Aşağıdaki hizmet sağlayıcılar yalnız ilgili özellik kullanıldığında ve o özellik için gereken veriyle sınırlı olarak devreye girer. Abone kendi hesabını bağladığı sağlayıcılarla (kendi SMS, WhatsApp, e-fatura ya da sanal POS hesabı) doğrudan sözleşme ilişkisi içindedir.

Yurt dışı aktarım. 7499 sayılı Kanunla değiştirilen KVKK md. 9 uyarınca yurt dışı aktarım; yeterlilik kararı, yoksa uygun güvencelerden biri (ör. Kurul'un ilan ettiği standart sözleşmenin imzalanması ve imzadan itibaren 5 iş günü içinde Kurul'a bildirilmesi) ya da istisnai aktarım hallerinden birine dayanır; özel nitelikli verinin aktarımında md. 6'daki şartların da sağlanması gerekir. Yurt dışı sağlayıcıya veri giden özellikler (yapay zekâ, WhatsApp Cloud API) varsayılan olarak kapalıdır ve Abone açmadıkça devreye girmez; açarken Abone hasta açısından gereken hukuki şartı sağlamayı kabul eder. [Yurt dışı aktarım dayanağı, standart sözleşme ve sağlık verisinin yapay zekâya gönderilmesi avukatla netleştirilecek]

Klinikra alt işleyen listesindeki değişiklikleri en az 30 gün önce Aboneye bildirir; Abone haklı gerekçeyle itiraz edebilir ve itiraz giderilmezse sözleşmeyi ücretsiz feshedebilir.

8. Süre, iade ve silme

Bu sözleşme hizmet sözleşmesi süresince geçerlidir. Sona ermesinden sonra Abone verilerini [90] gün içinde uygulama içinden dışa aktarabilir (iade); bu sürenin sonunda veriler, yedekler dahil [30] gün içinde silinir ve Aboneye yazılı olarak teyit edilir. Sağlık kayıtlarını mevzuattaki süreler boyunca saklama yükümlülüğü veri sorumlusu olarak Aboneye aittir. Klinikra'nın kendi yasal saklama yükümlülüğüne tabi kayıtları (ör. abonelik faturaları) saklanmaya devam eder.

9. Denetim

Abone, makul aralıklarla ve önceden bildirmek kaydıyla, Klinikra'nın bu sözleşmeye uyumuna ilişkin bilgi ve belge isteyebilir; Klinikra makul sorulara yazılı yanıt verir. Ayrıntılı teknik özellikler için KVKK özellikleri sayfasına bakınız.